Bảo mật 2 lớp Facebook có an toàn không? Chặn được gì, bật thế nào

Phần lớn tài khoản Facebook bị chiếm mà chúng tôi gặp đều có điểm chung: chủ tài khoản nghĩ bật bảo mật 2 lớp là xong. Bài này nói rõ bảo mật 2 lớp chặn được kiểu tấn công nào, không chặn được kiểu nào, và cách thiết lập để lớp bảo vệ đó thật sự có tác dụng.

Bảo mật 2 lớp chặn được gì và không chặn được gì?

Bảo mật 2 lớp (xác thực 2 yếu tố) chỉ làm một việc: khi có lượt đăng nhập mới, Facebook đòi thêm một bằng chứng ngoài mật khẩu, như mã 6 số từ ứng dụng, mã gửi qua SMS hoặc thao tác chạm khóa bảo mật. Nó bảo vệ cửa đăng nhập, không bảo vệ những phiên đã đăng nhập sẵn và không bảo vệ bạn khỏi chính việc đưa mã cho người khác.

Vì vậy câu trả lời đúng cho “bảo mật 2 lớp Facebook có an toàn không” là: an toàn với các kiểu tấn công hàng loạt, chưa đủ với các kiểu lừa đảo nhắm vào người quản lý fanpage và tài khoản quảng cáo. Phần còn lại phụ thuộc vào phương thức bạn chọn và thói quen dùng máy.

Nên chọn phương thức xác thực nào?

Facebook hiện cho chọn ba phương thức trong phần xác thực 2 yếu tố: khóa bảo mật, ứng dụng xác thực của bên thứ ba và mã qua tin nhắn SMS. Ngoài ra, từ tháng 6/2025 Meta bắt đầu cho đăng nhập Facebook bằng khóa truy cập (passkey) trên ứng dụng iOS và Android, xác nhận bằng vân tay, khuôn mặt hoặc mã PIN của điện thoại.

Một nghiên cứu Google công bố năm 2019 trên tài khoản Google cho thấy mã SMS chặn toàn bộ tấn công bằng bot tự động, khoảng 96% tấn công lừa đảo hàng loạt nhưng chỉ khoảng 76% tấn công nhắm mục tiêu; khóa bảo mật chặn được cả ba nhóm trong thời gian nghiên cứu. Số liệu này không phải của Facebook, nhưng logic giống nhau: phương thức càng gắn chặt với thiết bị thật và tên miền thật thì càng khó bị lừa.

Cách bật bảo mật 2 lớp Facebook

Đường dẫn trong ứng dụng và trên máy tính giống nhau, vì cài đặt bảo mật đã được gom về Trung tâm tài khoản:

1. Bấm ảnh đại diện, chọn Cài đặt và quyền riêng tư rồi Cài đặt.
2. Mở Trung tâm tài khoản, chọn Mật khẩu và bảo mật, rồi Xác thực 2 yếu tố.
3. Chọn tài khoản cần bật (nếu Trung tâm tài khoản có cả Facebook và Instagram, mỗi tài khoản cài riêng).
4. Chọn phương thức. Với ứng dụng xác thực: quét mã QR bằng ứng dụng, nhập mã 6 số để xác nhận.
5. Lấy 10 mã khôi phục Facebook cung cấp và cất ngay, trước khi rời màn hình.
6. Thêm phương thức thứ hai làm dự phòng, ví dụ một khóa bảo mật hoặc số điện thoại còn dùng lâu dài.

Meta đang chuyển dần Trung tâm tài khoản sang mô hình “Tài khoản Meta” dùng chung cho Facebook, Instagram, Messenger từ năm 2026, nên tên mục có thể thay đổi nhẹ; hãy tìm mục “Mật khẩu và bảo mật”. Cách dùng ứng dụng tạo mã, sao lưu và chuyển sang điện thoại mới có ở bài hướng dẫn Google Authenticator.

Mã khôi phục: thứ quyết định bạn có lấy lại được tài khoản hay không

Nhiều người bật bảo mật 2 lớp rồi tự khóa mình ở ngoài khi mất điện thoại. Mỗi mã khôi phục dùng được một lần và thay được mã xác thực khi không có thiết bị.

• In ra giấy hoặc lưu trong trình quản lý mật khẩu, không lưu dạng ảnh chụp trong thư viện của chính chiếc điện thoại dùng để nhận mã.
• Khi đã dùng gần hết, tạo bộ mã mới; bộ cũ mất hiệu lực.
• Kiểm tra email và số điện thoại trong Trung tâm tài khoản còn dùng được, vì đây là đường khôi phục khi mất cả mã.
• Rà mục “Nơi bạn đã đăng nhập” mỗi tháng, đăng xuất thiết bị lạ hoặc máy cũ đã bán.

Fanpage và tài khoản quảng cáo cần thêm những gì?

Với doanh nghiệp, tài khoản cá nhân của người quản trị là cửa vào Trang, tài khoản quảng cáo và thẻ thanh toán gắn trong đó. Một người không bật bảo mật 2 lớp là đủ để cả Trang gặp rủi ro.

• Mọi người có quyền trên Trang đều bật bảo mật 2 lớp, kể cả nhân viên chỉ đăng bài. Trong phần cài đặt doanh nghiệp của Meta có tùy chọn bắt buộc xác thực 2 yếu tố với người trong danh mục doanh nghiệp; nên bật cho tất cả.
• Ít nhất hai người tin cậy giữ toàn quyền, mỗi người một tài khoản thật có bảo mật 2 lớp. Không dùng chung một tài khoản “admin” cho cả phòng.
• Người giữ toàn quyền dùng khóa bảo mật hoặc passkey, vì họ là mục tiêu của các tin nhắn giả mạo “Trang sắp bị vô hiệu hóa”.
• Không đăng nhập Facebook quản trị trên máy dùng chung, máy cài phần mềm bẻ khóa, hoặc trình duyệt có tiện ích không rõ nguồn.
• Cấp quyền theo nhiệm vụ cho bên ngoài thay vì toàn quyền; cách làm có ở bài thêm quản trị viên fanpage.

Khi thuê bên ngoài vận hành Trang, cũng áp dụng nguyên tắc trên: bên dịch vụ chỉ cần quyền theo việc. Đây là cách dịch vụ quản trị fanpage của Marketing SEO Top làm việc: doanh nghiệp luôn giữ quyền cao nhất.

Dấu hiệu tài khoản bị chiếm và việc cần làm ngay

Các dấu hiệu thường gặp: email báo đổi mật khẩu hoặc đổi email mà bạn không làm; xuất hiện thiết bị lạ trong danh sách đăng nhập; tài khoản quảng cáo có chiến dịch lạ hoặc bị trừ tiền; bạn bè báo nhận tin nhắn vay tiền, nhờ đọc mã.

1. Nếu còn đăng nhập được: đổi mật khẩu, đăng xuất tất cả phiên khác, kiểm tra lại phương thức 2 lớp và email, số điện thoại có bị thay không.
2. Nếu đã bị đổi thông tin: vào facebook.com/hacked trên trình duyệt để bắt đầu quy trình khôi phục chính thức của Facebook.
3. Quét mã độc máy tính đã dùng để đăng nhập trước khi đăng nhập lại; nếu không, phiên mới có thể bị lấy cắp tiếp.
4. Gỡ thẻ thanh toán hoặc báo ngân hàng khóa thẻ nếu thấy chi tiêu quảng cáo lạ.
5. Người giữ quyền khác trên Trang gỡ tài khoản bị chiếm khỏi Trang và tài khoản quảng cáo cho đến khi xử lý xong.

Sai lầm làm bảo mật 2 lớp mất tác dụng

• Chỉ dùng SMS với số điện thoại sắp hủy hoặc số của nhân viên đã nghỉ.
• Không lấy mã khôi phục, đến khi mất điện thoại mới tìm.
• Nhập mã vào bất kỳ trang nào gửi qua Messenger hay email, dù giao diện giống Meta. Hãy tự gõ địa chỉ facebook.com thay vì bấm liên kết.
• Gửi mã cho “bạn bè” nhờ bình chọn, nhờ nhận quà. Mã xác thực không bao giờ cần chia sẻ với ai.
• Tin rằng đã bật 2 lớp thì không cần cảnh giác với tệp đính kèm lạ. Mã độc đánh cắp phiên vượt qua bảo mật 2 lớp.

Câu hỏi thường gặp